Biro Investigasi Federal telah mengirimkan peringatan peringatan keamanan bahwa pelaku ancaman menyalahgunakan aplikasi SonarQube yang salah dikonfigurasi untuk mengakses dan mencuri repositori kode sumber dari lembaga pemerintah AS dan bisnis swasta.
Gangguan telah terjadi setidaknya sejak April 2020, kata FBI dalam peringatan yang dikirim bulan lalu dan dipublikasikan minggu ini di situs webnya.
Peringatan tersebut secara khusus memperingatkan pemilik SonarQube, aplikasi berbasis web yang diintegrasikan oleh perusahaan ke dalam rantai pembuatan perangkat lunak mereka untuk menguji kode sumber dan menemukan kelemahan keamanan sebelum meluncurkan kode dan aplikasi ke dalam lingkungan produksi.
Aplikasi SonarQube diinstal di server web dan terhubung ke sistem hosting kode sumber seperti akun BitBucket, GitHub, atau GitLab, atau sistem Azure DevOps.
Tetapi FBI mengatakan bahwa beberapa perusahaan telah membiarkan sistem ini tidak terlindungi, berjalan pada konfigurasi default mereka (pada port 9000) dengan kredensial admin default (admin/admin).
Pejabat FBI mengatakan bahwa pelaku ancaman telah menyalahgunakan kesalahan konfigurasi ini untuk mengakses instance SonarQube, lalu beralih ke repositori kode sumber yang terhubung, dan kemudian mengakses dan mencuri aplikasi yang telah dipatenkan atau pribadi/sensitif.
Untuk mencegah kebocoran seperti ini, peringatan FBI mencantumkan serangkaian langkah yang dapat diambil perusahaan untuk melindungi server SonarQube mereka, dimulai dengan mengubah konfigurasi default dan kredensial aplikasi dan kemudian menggunakan firewall untuk mencegah akses tidak sah ke aplikasi dari pengguna yang tidak sah.
Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet